Pragmaintegra.com – Serangan siber, mulai dari ransomware, pencurian data, hingga penipuan berbasis rekayasa sosial, dapat menghentikan operasi, menimbulkan kerugian finansial, dan merusak kepercayaan pelanggan dalam hitungan jam. Karena dampaknya menyentuh kelangsungan usaha, keamanan siber telah menjadi tanggung jawab dewan, bukan sekadar urusan departemen teknologi. Namun survei tata kelola menunjukkan bahwa banyak dewan belum siap menangani risiko keamanan siber karena kurangnya keahlian teknologi informasi.[1] Bagian ini membahas strategi keamanan siber, kerangka penilaian risiko, pengawasan pengendalian, respons insiden, pengujian keamanan, manajemen keamanan pihak ketiga, pelaporan kepada dewan, serta budaya keamanan.

Strategi Keamanan Siber dan Kerangka Penilaian Risiko

Strategi keamanan siber menetapkan tujuan, prioritas, dan alokasi sumber daya berdasarkan penilaian risiko atas aset digital yang paling kritis. Kerangka yang banyak digunakan, seperti NIST Cybersecurity Framework dan standar ISO/IEC 27001, menyediakan struktur untuk mengidentifikasi, melindungi, mendeteksi, merespons, dan memulihkan. Di Indonesia, Peraturan Presiden Nomor 47 Tahun 2023 tentang Strategi Keamanan Siber Nasional dan Manajemen Krisis Siber memberikan kerangka nasional, sementara lembaga jasa keuangan tunduk pada ketentuan OJK mengenai ketahanan dan keamanan siber. Strategi korporasi sebaiknya diselaraskan dengan kerangka nasional dan sektoral tersebut.

Pengawasan Dewan, Keahlian, dan Kualitas Informasi

Kualitas pengawasan dewan dipengaruhi oleh independensi dan keahlian anggotanya. Penelitian atas 1.300 perusahaan di 50 negara periode 2014–2023 menemukan bahwa independensi dewan meningkatkan kualitas pengungkapan keamanan siber, dan keberadaan keahlian teknis di dewan memperkuat pengaruh tersebut.[2] Bukti dari Amerika Serikat menunjukkan bahwa dewan yang segera menambah keahlian siber dan menugaskan pengawasan risiko siber kepada dewan atau komite mengalami lebih sedikit serangan dan pelanggaran data di kemudian hari.[3] Tata kelola siber yang efektif juga memengaruhi kebijakan keuangan: studi atas perusahaan periode 2013–2022 menemukan bahwa risiko siber berpengaruh signifikan terhadap kebijakan dividen, dan dewan yang efektif berperan mengarahkan perusahaan pada strategi tata kelola yang memperbaiki kebijakan dividen dan keamanan siber.[4]

Pengungkapan risiko dan insiden keamanan siber merupakan bidang yang berkembang pesat, tetapi literatur masih menunjukkan temuan yang belum konklusif atau bertentangan pada sejumlah aspek.[5] Konsekuensi finansialnya nyata: kewajiban pemberitahuan pelanggaran data terbukti meningkatkan biaya utang perusahaan yang terdampak, terutama perusahaan dengan kelemahan pengendalian internal.[6] Bagi emiten di Indonesia, insiden siber yang material dapat memicu kewajiban keterbukaan informasi kepada OJK dan publik.

Baca juga: Dampak Teknologi pada Struktur Tata Kelola Perusahaan: Dari Rapat Dewan Virtual hingga Blockchain

Respons Insiden, Pengujian Keamanan, dan Keamanan Pihak Ketiga

Rencana respons insiden menetapkan peran, prosedur eskalasi, komunikasi internal dan eksternal, keterlibatan penasihat hukum dan forensik, serta pemenuhan kewajiban pemberitahuan kepada subjek data dan otoritas berdasarkan UU Pelindungan Data Pribadi. Rencana ini perlu diuji melalui latihan simulasi yang melibatkan Direksi. Pengujian keamanan, seperti penilaian kerentanan dan uji penetrasi, memberikan bukti objektif atas efektivitas pengendalian. Manajemen keamanan pihak ketiga memastikan vendor dan penyedia layanan memenuhi standar keamanan yang disyaratkan, karena banyak insiden terjadi melalui rantai pasok digital; regulator di sektor keuangan berbagai negara kini mensyaratkan pengawasan atas penyedia pihak ketiga teknologi informasi yang kritis.[7]

Pelaporan, Investasi Keamanan, Kebijakan, dan Budaya

Pelaporan keamanan siber kepada dewan sebaiknya mencakup profil risiko, status pengendalian utama, insiden signifikan, hasil pengujian, dan kemajuan program keamanan, dengan bahasa yang dapat dipahami nonspesialis. Keputusan investasi keamanan perlu didasarkan pada pengurangan risiko yang terukur. Kerangka kebijakan keamanan menetapkan standar minimum yang berlaku di seluruh organisasi, dan audit keamanan memberikan jaminan independen atas kepatuhan. Budaya keamanan, yang dibangun melalui program kesadaran dan keteladanan pimpinan, sangat menentukan karena banyak serangan memanfaatkan kelengahan manusia.

Kesimpulan dan Implikasi bagi Praktisi Hukum

Keamanan siber merupakan tanggung jawab dewan yang memerlukan keahlian, independensi, dan informasi yang berkualitas. Bagi praktisi hukum, rekomendasinya adalah: pertama, memastikan pengawasan keamanan siber ditugaskan secara jelas kepada dewan atau komite dan tercatat dalam piagam serta risalah; kedua, membantu menyusun rencana respons insiden yang memenuhi kewajiban pemberitahuan berdasarkan UU Pelindungan Data Pribadi dan ketentuan sektoral; ketiga, meninjau kontrak vendor agar memuat standar keamanan, hak audit, dan kewajiban pemberitahuan insiden; keempat, menilai kewajiban keterbukaan informasi atas insiden siber yang material bagi emiten; dan kelima, mempertimbangkan perlindungan asuransi siber serta kecukupan cakupan polis asuransi tanggung jawab direksi untuk risiko siber.

*Artikel ini merupakan bagian dari ‘Learning Module for Lawyers: Corporate Law’ yang disusun oleh Tim Penulis Firma Pragma Integra.

Referensi

[1] Hartmann and Carmenate, ‘Academic Research on the Role of Corporate Governance and IT Expertise in Addressing Cybersecurity Breaches: Implications for Practice, Policy, and Research’.

[2] Mujahid Bilal Khan and others, ‘The Psychology of Board Oversight: How Board Independence and Technical Expertise Shape the Quality of Cybersecurity Information’, Research Square, 2026, https://doi.org/10.21203/rs.3.rs-9423236/v1.

[3] Klein, Manini, and Shi, ‘Across the Pond: How US Firms’ Boards of Directors Adapted to the Passage of the General Data Protection Regulation’.

[4] Manar Al-Mohareb, ‘The Impact of Cyber Governance Quality on Dividend Policy in Mitigating Cybersecurity Breaches’, Risks, 13.2 (2025), p. 34, https://doi.org/10.3390/risks13020034.

[5] Amani, Magnan, and Moldovan, ‘Cybersecurity Risks and Incidents Disclosure: A Literature Review’.

[6] Chatterjee, Agarwal, and Agarwal, ‘Data Breach Notification Laws and Cost of Debt’.

[7] Chanon and others, ‘Operational Resilience in the UK Financial Sector: Practical Guidance’.